В домене contoso.com (FFL: Windows Server 2016) существуют две политики детализированных паролей (fine-grained password policies): PSO_User (msDS-PasswordSettingsPrecedence=10) напрямую применяется к пользователю Alice, а PSO_GG (msDS-PasswordSettingsPrecedence=20) применяется к глобальной группе безопасности GG_Sales. Alice является членом GG_Sales. Требования безопасности заключаются в том, чтобы групповая политика PSO_GG стала эффективной политикой паролей для Alice без удаления прямого назначения PSO. Вам также необходимо проверить результирующую PSO для Alice. Какие два действия следует выполнить?

Правильный ответ состоит из двух частей. Во-первых, чтобы PSOGG стала эффективной политикой для Alice, необходимо понизить значение атрибута msDS-PasswordSettingsPrecedence для PSOGG так, чтобы оно было меньше значения для PSOUser (10). В случае конфликта между несколькими политиками детализированных паролей (FGPP) применяется политика с наименьшим значением msDS-PasswordSettingsPrecedence. Во-вторых, для проверки результирующей политики паролей для Alice используется командлет PowerShell Get-ADUserResultantPasswordPolicy -Identity Alice. Этот командлет возвращает эффективную политику FGPP для указанного пользователя. Неправильные варианты: Связывание PSOGG с OU не повлияет на приоритет FGPP, так как FGPP применяются напрямую к пользователям или группам, а не через OU. Встроенных групп, которые позволяют групповым PSO переопределять прямые PSO, не существует. Приоритет определяется значением msDS-PasswordSettingsPrecedence.